Dacă vrei să creezi un server VPN, permite-mi să-ți spun că există o opțiune excelentă pe care o poți folosi pentru a-ți atinge obiectivul: proiectul Firezone dezvoltă un server VPN pentru a organiza accesul la gazdele dintr-o rețea internă izolată de dispozitivele utilizatorilor situate în rețele externe.
Proiectul își propune să atingă un nivel ridicat de securitate și să simplifice procesul de implementare a VPN-ului.
Despre Firezone
Proiectul este dezvoltat de un inginer de automatizare a securității Cisco , care a căutat să creeze o soluție care să automatizeze lucrul cu configurația gazdei și să elimine problemele cu care se confruntau atunci când organizau accesul securizat la VPC-uri în cloud.
Firezone acționează ca o interfață atât pentru modulul kernel WireGuard, cât și pentru subsistemul kernel netfilter. Acesta creează o interfață WireGuard (denumită wg-firezone în mod implicit) și o tabelă netfilter, adăugând rutele corespunzătoare la tabela de rutare. Alte programe care modifică tabela de rutare Linux sau firewall-ul netfilter pot interfera cu funcționarea Firezone.
Vă puteți gândi la Firezone ca la un omolog open source pentru OpenVPN Access Server, construit deasupra WireGuard în loc de OpenVPN.
WireGuard este utilizat pentru a organiza canalele de comunicare în Firezone . Firezone are, de asemenea, funcționalitate de firewall încorporată care utilizează nftables.
În forma sa actuală, firewall-ul este limitat prin blocarea traficului de ieșire către anumite gazde sau subrețele din rețelele interne sau externe. Acest lucru se datorează faptului că Firezone este un software beta, așa că, deocamdată, utilizarea sa este recomandată doar prin limitarea accesului la rețea la interfața web pentru a evita expunerea acesteia la internetul public.
Firezone necesită un certificat SSL valid și o înregistrare DNS potrivită pentru a rula în producție, care poate fi generată și gestionată de instrumentul Let's Encrypt pentru a genera un certificat SSL gratuit.
Din punct de vedere administrativ , se menționează că acest lucru se face prin intermediul interfeței web sau în modul linie de comandă folosind utilitarul firezone-ctl. Interfața web este construită pe platforma Admin One Bulma.
În prezent, toate componentele Firezone rulează pe același server, dar proiectul este dezvoltat inițial cu o atenție sporită la modularitate, iar în viitor este planificată posibilitatea de a distribui componente pentru interfața web, VPN și firewall pe diferite gazde.
Planurile menționează, de asemenea, integrarea unui blocator de anunțuri bazat pe DNS, suport pentru listele de blocuri de gazdă și subrețea, capacitatea de autentificare prin LDAP / SSO și capacități suplimentare de gestionare a utilizatorilor.
Dintre caracteristicile menționate ale Firezone:
- Rapid: utilizați WireGuard pentru a fi de 3-4 ori mai rapid decât OpenVPN.
- Fără dependențe: toate dependențele sunt grupate datorită Chef Omnibus.
- Simplu: durează câteva minute pentru configurare. Gestionați printr-un API CLI simplu.
- Sigur: funcționează fără privilegii. S-a aplicat HTTPS.
- Cookie-uri criptate.
- Firewall inclus - Utilizează nftables Linux pentru a bloca traficul de ieșire nedorit.
Pentru instalare, sunt oferite pachete rpm și deb pentru diferite versiuni de CentOS, Fedora, Ubuntu și Debian, a căror instalare nu necesită dependențe externe, deoarece toate dependențele necesare sunt deja incluse folosind setul de instrumente Chef Omnibus.
Pentru a funcționa, necesită doar o distribuție Linux cu un kernel Linux versiunea 4.19 sau o versiune anterioară și un modul kernel compilat cu WireGuard VPN . Potrivit autorului, pornirea și configurarea unui server VPN se pot face în doar câteva minute. Componentele interfeței web rulează sub un cont de utilizator neprivilegiat, iar accesul este posibil doar prin HTTPS.
Firezone constă dintr-un singur pachet Linux distribuibil care poate fi instalat și gestionat de utilizator. Codul proiectului este scris în Elixir și Ruby și este distribuit sub licența Apache 2.0.
În cele din urmă, dacă sunteți interesat să aflați mai multe despre acest subiect sau doriți să urmați instrucțiunile de instalare, puteți face acest lucru accesând linkul următor.